Кто-нибудь достиг уровня 1 PCI в AWS?

За исключением всех часто задаваемых вопросов, документов и заявлений, опубликованных AWS, достиг ли какой-либо продавец уровня 1 соответствия PCI на AWS? Мы оцениваем перевод некоторых наших сервисов в EC2 / VPC, но наш аудитор говорит, что AWS не сотрудничали, когда их другие клиенты пытались достичь соответствия, и вместо этого им пришлось пойти в Rackspace. Проблемы, с которыми они столкнулись, были:

• AWS не предоставляет подробный список элементов управления, оцененных в собственном аудите PCI AWS, что делает невозможным для аудитора отмечать, какие элементы покрываются AWS, а какие - ответственность клиента
• AWS не уточняет, как оценивался гипервизор и какие тесты проводились для обеспечения изоляции арендаторов.

Обновление: Этот вопрос первоначально задавался на StackExchange, но был отклонен как неприемлемый для этого сайта /programming/6851259/has-anyone-achtained-level-1-pci-compliance-on-aws

Я бы посоветовал не пытаться решить проблему AWS самостоятельно.

Спросите своего аудитора, примет ли он аудиторский отчет SAS 70 типа 2 AWS относительно соответствия PCI: это означает, что внешний аудитор проводит аудит AWS для обеспечения безопасности PCI в отношении клиентов AWS и выдает отчет. Ваш одитор тогда в основном теряет это. Если аудитор не желает принять этот отчет, спросите его руководство, почему он этого не делает, и соблюдают ли они правила AICPA (см., Однако, пункты ниже).

Если AWS не желает проходить такой стандартный процесс аудита, они в основном подрывают всю свою рыночную позицию в отношении PCI Compliance => обработки кредитных карт, поэтому я не могу себе представить, что они не будут сотрудничать. См., Например, одну из пяти крупнейших ... четырех бухгалтерских фирм, предоставляющих аудит SAS70, и Википедию по SAS70.

Поправка: SAS 70, тип 2, не определяет, что именно нужно проверять, поэтому вы должны убедиться, что ваш аудитор заранее согласен с объемом аудита: 2 вопроса, которые аудитор рассматривает в качестве примера. Примечание: SAS 70 type 2 - это стандарт аудита США, который существует уже некоторое время, для этого могут быть обновленные версии / стандарты. Если вы находитесь в другой стране, могут быть и другие требования, но SAS 70 типа 2 очень широко используется на международном уровне.

Однако может случиться так, что ваш аудитор на самом деле имеет отчет SAS 70 типа 2 по AWS и считает, что область его действия недостаточно обширна, или аудит был проведен плохо, или полученные выводы / заключения были отрицательными.